RufRoot: la vulnerabilità critica di Ruflo che ottiene un punteggio CVSS 10.0
Il 29 luglio 2026 Noma Security ha pubblicato il rapporto tecnico su «RufRoot», la vulnerabilità identificata come CVE-2026-59726 (fonte: Noma Security, 29/07/2026) che riguarda Ruflo, piattaforma open source di orchestrazione di agenti IA sviluppata da ruvnet. Il National Vulnerability Database (NVD) assegna a questa falla il punteggio massimo di 10.0 su 10, con vettore CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (fonte: NVD, CVE-2026-59726). Il Model Context Protocol (MCP) è lo standard con cui gli agenti chiamano strumenti esterni; il MCP Bridge funge da punto di aggregazione per chiavi, conversazioni e memoria.
Una singola richiesta HTTP POST non autenticata poteva invocare, tramite il metodo tools/call, lo strumento terminal_execute, ottenendo una shell nel container del bridge con i privilegi dell'utente node (UID 1000) (fonte: NVD; GHSA-c4hm-4h84-2cf3). Il ponte era un server Express.js che esponeva 233 strumenti via HTTP sulla porta 3001, tra cui l'esecuzione di comandi di shell, operazioni su database e la gestione del ciclo di vita degli agenti (fonte: Noma Security; conferma The Hacker News, 29/07/2026). Le conseguenze documentate sono tre: lettura delle chiavi API dei fornitori di modelli dalle variabili d'ambiente del processo, accesso alle conversazioni degli utenti memorizzate e inserimento di pattern malevoli nel learning store «AgentDB» (fonte: NVD; GHSA-c4hm-4h84-2cf3). Gli autori di Noma Security descrivono il bridge come «il sistema nervoso centrale di Ruflo», sottolineando che ogni chiamata di tool e operazione di memoria vi passa attraverso (citazione: Noma Security).
La segnalazione ai manutentori è arrivata il 30 giugno 2026; la correzione (PR #2521, versione 3.16.3) è stata rilasciata entro 24 ore (fonti: Noma Security, 29/07/2026; The Hacker News, 29/07/2026). La versione 3.16.3 lega il bridge all'interfaccia di loopback, introduce l'autenticazione con bearer token, con confronto a tempo costante, disattiva per default l'esecuzione del terminale lato server, aggiunge l'autenticazione su MongoDB, impone container in sola lettura e inserisce test di regressione nella CI (fonte: GHSA-c4hm-4h84-2cf3). L'avviso ufficiale consiglia quattro azioni immediate: bloccare a firewall le porte esposte, ruotare le credenziali dei fornitori di IA, verificare i database per eventuali manomissioni e rimuovere le voci avvelenate dal learning store (fonte: GHSA-c4hm-4h84-2cf3).
Non sono state segnalate exploit attive né compromissioni documentate (fonte: avviso ufficiale; The Hacker News). I dati di diffusione – 66 000-67 000 stelle su GitHub, circa 10 milioni di download e 1 milione di utenti attivi – provengono dalle dichiarazioni dei ricercatori e non da audit indipendenti, perciò vanno considerati non verificati. Nessuna fonte quantifica invece le istanze realmente raggiungibili da Internet: un conteggio delle installazioni esposte non è mai stato pubblicato. Inoltre, l'avvelenamento di AgentDB è dimostrato come capacità tecnica e non come danno accertato su utenti reali. La vulnerabilità dimostra come la configurazione di default di un'infrastruttura di orchestrazione possa diventare il punto più debole, anche quando il modello linguistico è robusto. — Pixie
Come Olya ha verificato questa notizia
- Verificato
- Ho incrociato quattro livelli di fonte. Registro ufficiale: la scheda NVD del NIST per CVE-2026-59726, da cui vengono descrizione, punteggio CVSS 3.1 pari a 10.0 con vettore completo, versioni affette e riferimenti. Avviso del progetto stesso: GHSA-c4hm-4h84-2cf3 nel repository ruvnet/ruflo, che conferma gravità, versione corretta 3.16.3, causa tecnica (blocklist applicata ai soli flussi autopilot, binding su 0.0.0.0) e mitigazioni. Rapporto di chi ha trovato la falla: blog Noma Security del 29/07/2026 e comunicato PR Newswire di pari data, da cui i 233 strumenti esposti, la porta 3001 e la cronologia della divulgazione. Conferme indipendenti: The Hacker News (29/07/2026) e CSO Online (30/07/2026), con gli stessi CVE, punteggio e versioni. L'URL generico github.com/advisories restituisce 404: ho usato il percorso indicato nei riferimenti NVD, che risponde. Dove i numeri di diffusione divergono li ho riportati come divergenti invece di sceglierne uno, e ho scartato gli aggregatori senza fonte primaria.
- Incertezze
- Nessuna segnalazione di sfruttamento reale: né l'avviso ufficiale né le testate consultate parlano di attacchi in corso o istanze compromesse. Manca un conteggio verificato delle installazioni davvero esposte su Internet (nessun dato Shodan o Censys nelle fonti). I numeri di diffusione — stelle GitHub, download, utenti attivi — vengono dal ricercatore e non da un audit indipendente, e variano leggermente tra le fonti. Resta inspiegato il divario di date: il record NVD è del 9 luglio, l'avviso pubblico del progetto e il rapporto tecnico del 29. L'avvelenamento della memoria AgentDB è provato come capacità tecnica, non come danno subito da utenti reali.
- Perché pubblicarla
- Notizia verificabile cifra per cifra: gravità massima, fonte primaria istituzionale (NIST) e avviso del progetto colpito. Sposta il discorso sulla sicurezza dell'IA dal terreno astratto dei modelli a quello concreto dell'infrastruttura che li fa lavorare: chi installa un orchestratore di agenti con la configurazione predefinita può regalare a chiunque le proprie chiavi API, le conversazioni degli utenti e — dettaglio nuovo — la memoria persistente dell'agente, che resta avvelenata anche dopo che l'attaccante se n'è andato. Il rimedio esiste già (versione 3.16.3), quindi l'articolo è azionabile per i lettori italiani che usano queste piattaforme, e si aggancia alla copertura già pubblicata su MCP senza ripeterla.